Clés privées : pourquoi les voleurs visent l’humain en 2026

Depuis quinze ans, une promesse tient bon : une clé privée correctement générée reste, mathématiquement, hors de portée. Aucun ordinateur connu ne devine une suite de 256 bits, et les vols records de 2025 et 2026 ne doivent presque rien à une faille du chiffrement lui-même. Ils doivent presque tout à un déplacement de cible. Les attaquants ont cessé de s’acharner sur la cryptographie pour viser ce qui reste faible : l’être humain qui détient la clé, le salarié qui la manipule, la famille qui vit sous le même toit.

Ce basculement a deux visages. Le premier est brutal et physique : la séquestration, la menace, le doigt sectionné et filmé pour obtenir une rançon en cryptomonnaie. La France en est devenue, bien malgré elle, l’épicentre mondial. Le second est silencieux et numérique : de faux ingénieurs, souvent nord-coréens, se font embaucher dans des sociétés crypto pour accéder aux clés depuis l’intérieur. Cet article détaille ces deux fronts, chiffres et affaires à l’appui, puis passe en revue les parades qui fonctionnent vraiment lorsque la faille n’est plus le code, mais la personne.

La clé est incassable, son porteur ne l’est pas

Toute la logique de l’auto-conservation repose sur une idée simple : seule la clé compte. C’est sa force, puisqu’il n’y a plus d’intermédiaire à convaincre, et c’est aussi sa faiblesse, car il n’y a plus personne à appeler. Pas de service fraude, pas de rétrofacturation, pas de gel de compte. Celui qui contrôle la clé contrôle les fonds, et un transfert validé est irréversible. Cette irréversibilité, vantée comme une vertu, est précisément ce qui rend une victime coopérative sous la contrainte : une fois la transaction signée, rien ne la rattrape.

Des attaquants rationnels optimisent donc leur effort. Forcer l’algorithme secp256k1 ou l’AES est hors sujet ; forcer l’humain qui garde le secret est à leur portée. Le rapport de Chainalysis sur 2025 illustre ce glissement : près de 3 milliards d’euros (3,4 milliards de dollars) de cryptomonnaies ont été dérobés sur l’année, et l’essentiel de la valeur ne provient pas de bugs de smart contracts mais de compromissions de clés, d’infrastructures et de personnes, comme le détaille l’analyse annuelle de Chainalysis. Le fameux « code is law » coupe dans les deux sens : quand la loi, c’est le code, il suffit de contraindre la main qui l’exécute.

Pourquoi 2026 marque-t-il un tournant ? Parce que les deux camps se sont professionnalisés en même temps. D’un côté, des groupes criminels organisés ont compris que la crypto offrait une rançon idéale : liquide, transfrontalière et irréversible. De l’autre, des acteurs étatiques disposent désormais d’équipes dédiées, de faux profils soignés et d’une capacité de blanchiment quasi industrielle. Le point commun de ces deux menaces, c’est qu’elles contournent entièrement la question technique : ni l’une ni l’autre n’a besoin de casser quoi que ce soit, seulement d’atteindre la bonne personne au bon moment.

Anatomie d’une compromission de clé en 2026

Parler de « vol de clé privée » recouvre en réalité une famille de scénarios très différents, qui n’exigent ni les mêmes compétences ni le même profil d’attaquant. Les services centralisés continuent d’encaisser les pertes les plus lourdes : d’après Chainalysis, les compromissions de clés côté plateformes ont représenté la part dominante de la valeur volée en 2025, un total gonflé par le vol d’environ 1,3 milliard d’euros (1,5 milliard de dollars, soit 401 347 ETH) subi par Bybit en février. En parallèle, les particuliers paient un tribut discret mais massif : 158 000 incidents visant au moins 80 000 victimes distinctes, pour environ 620 millions d’euros (713 millions de dollars) dérobés, soit un cinquième de la valeur totale de l’année.

Pour s’y retrouver, il aide de classer les vecteurs selon ce qu’ils ciblent réellement : l’appareil, le processus de signature, l’organisation ou la personne elle-même. Le tableau ci-dessous résume cette cartographie et situe chaque famille par un exemple marquant de 2025 ou 2026.

Ce classement se double d’une hiérarchie du risque bien connue des professionnels. Un portefeuille chaud, connecté en permanence, est plus exposé qu’un portefeuille froid ; une clé confiée à un tiers ajoute un risque de contrepartie à celui de compromission ; une signature unique cède plus vite qu’un schéma à plusieurs signataires. Mais aucune de ces couches ne protège contre la contrainte exercée sur la personne qui détient le dernier facteur. C’est tout l’enjeu de 2026 : les défenses techniques se sont durcies, alors les attaquants ont simplement changé de terrain.

Nos éditions précédentes ont déjà disséqué le versant numérique de cette liste, du malware au détournement de signature. Ce qui a changé en 2026, et ce qui structure la suite de cet article, c’est la montée en puissance des deux extrémités du tableau : la violence physique d’un côté, l’infiltration humaine de l’autre. Deux manières d’obtenir une clé sans jamais toucher à la moindre ligne de cryptographie.

L’attaque à la clé de 12 fait entrer la violence

L’expression vient d’une bande dessinée de 2014 : plutôt que de casser un chiffrement à coups de superordinateur, il suffit d’un outil à cinq dollars et de la menace de frapper le détenteur jusqu’à ce qu’il donne son mot de passe. En français, la communauté parle d’« attaque à la clé de 12 » ou d’« attaque à la clé à molette », traduction directe du terme anglais wrench attack. Le principe est d’une simplicité redoutable : on ne cherche plus le portefeuille, on saisit la personne qui l’ouvre.

Les chiffres de 2026 confirment que ce mode opératoire n’a plus rien d’anecdotique. Selon les données compilées par CertiK, dont nous avons déjà examiné la méthode et les limites, le premier semestre 2026 a recensé 52 attaques physiques vérifiées contre des détenteurs de crypto, contre 39 un an plus tôt. Surtout, l’exposition financière associée a bondi de près de douze fois, passant d’environ 9 millions d’euros (10,5 millions de dollars) à quelque 108 millions d’euros (124,1 millions de dollars), soit une moyenne de 2,08 millions d’euros (2,39 millions de dollars) par incident, comme le rapporte Decrypt. Dans le détail, les intrusions à domicile explosent (20 cas contre un seul un an plus tôt) et les enlèvements progressent (16 contre 12). Sur la durée, le chercheur en sécurité Jameson Lopp, qui tient un registre public de ces faits, dénombre 188 attaques recensées depuis 2014, avec une nette accélération sur les deux dernières années.

La mécanique s’auto-entretient. « Chaque fois qu’une attaque à la clé de 12 réussit, cela signale au monde entier que les détenteurs de crypto sont des cibles juteuses », résume Jameson Lopp dans les colonnes de CoinDesk. Chaque rançon versée finance et inspire la suivante.

Le phénomène n’est pas propre à l’Hexagone. Des cas retentissants ont éclaté hors de France, notamment une séquestration très médiatisée à New York où un homme aurait été retenu et torturé plusieurs jours pour ses accès crypto, ainsi que d’autres agressions en Europe et en Asie. Mais partout, la logique est identique : la valeur se concentre chez des individus repérables, et un transfert crypto ne se bloque pas comme un virement bancaire. Derrière les statistiques, il y a un coût humain qu’aucun tableau ne traduit, fait de traumatismes, de mutilations et, dans de rares cas, de morts.

La France, épicentre mondial des enlèvements crypto

Le point le plus dérangeant pour un lecteur francophone tient dans la répartition géographique. Toujours selon CertiK, l’Europe concentre environ 75 % des incidents vérifiés au premier semestre 2026, et la France à elle seule en totalise 33, soit près des deux tiers du total mondial. Aucun autre pays n’approche ce niveau. Les autorités françaises, qui appliquent une définition plus large incluant les tentatives et les extorsions, arrivent à un compte encore plus élevé : 77 affaires d’enlèvement et d’extorsion liées à la crypto sur le seul premier semestre 2026, contre 45 sur toute l’année 2025, d’après le bilan relayé par CryptoTimes. Les deux compteurs ne mesurent pas la même chose (l’un se limite aux attaques physiques strictement vérifiées à l’échelle mondiale, l’autre englobe l’ensemble des dossiers criminels français), mais tous deux pointent la même anomalie hexagonale.

Pourquoi la France ? Plusieurs facteurs se cumulent. L’adoption y est forte et la richesse concentrée sur quelques figures très visibles, dont les fortunes se devinent parfois à même la blockchain : la richesse on-chain est publique par nature, un point que nous avons développé à propos des mouvements de baleines que la chaîne donne à voir. À cela s’ajoutent des fuites de données personnelles qui circulent dans les réseaux criminels, une coordination transfrontalière des bandes, et au moins un cas d’agent du fisc français soupçonné d’avoir monnayé des informations sensibles, détails rapportés par CoinDesk. Le résultat est un vivier de cibles identifiables, localisables et supposées coopératives. « Nous assistons à un basculement : on ne cherche plus un portefeuille, on traque une personne », observe Phil Ariss, de la société d’analyse TRM Labs, cité par le même média.

Pourquoi la crypto plutôt que le liquide ou les bijoux ? Parce qu’une rançon en bitcoin s’exfiltre en quelques minutes vers n’importe quel pays, sans guichet ni douane, et qu’elle ne se rejoue pas une fois envoyée. S’y ajoute le problème de visibilité déjà évoqué : contrairement à un compte bancaire, un solde on-chain peut être consulté par n’importe qui, et une indiscrétion, un article ou une publication sur les réseaux suffisent à désigner une cible. Les criminels n’ont plus besoin d’un informateur dans une banque ; il leur suffit d’un nom et d’une adresse.

Balland, Noizat : les affaires qui ont sidéré 2025

Deux dossiers ont fait basculer le sujet du forum spécialisé au journal de 20 heures. En janvier 2025, David Balland, cofondateur de Ledger, est enlevé avec son épouse à leur domicile de Vierzon, dans le Cher. Séparé de sa compagne, il est mutilé (une partie d’un doigt lui est sectionnée) et les ravisseurs réclament une rançon de 10 millions d’euros, exigée en cryptomonnaie, à un autre cofondateur de l’entreprise. L’intervention du GIGN permet de le libérer, puis de retrouver son épouse ligotée dans un véhicule à Étampes, comme l’a documenté CoinDesk.

Quelques mois plus tard, le 13 mai 2025, c’est la famille de Pierre Noizat, patron de la plateforme Paymium, qui est visée en plein Paris : des hommes masqués tentent d’enlever sa fille de 34 ans et son petit-fils de 2 ans dans le 11e arrondissement, avant d’être mis en fuite par l’intervention du père et d’un riverain. Ces affaires ne sont pas isolées : la justice française a mis en examen 25 personnes, dont six mineurs, dans plusieurs dossiers connexes, révélant des exécutants parfois rémunérés à peine 10 000 dollars (environ 8 700 euros) par une organisation basée en Asie du Sud-Est, d’après CoinDesk.

Ces dossiers dessinent un mode opératoire récurrent : on vise autant les proches que le détenteur lui-même, on sous-traite la violence à des exécutants recrutés au rabais, et on filme les sévices pour accélérer le paiement. La France y a gagné une réputation encombrante, celle du pays où l’on enlève les gens pour leurs cryptomonnaies, que les autorités s’efforcent désormais d’effacer.

Comment l’État français a réagi

Face à cette vague, le ministère de l’Intérieur a d’abord adopté une posture de protection rapprochée. Dès 2025, alors que Bruno Retailleau dirige la Place Beauvau, l’État propose aux entrepreneurs du secteur et à leurs proches des séances de sensibilisation assurées par des unités d’élite, un accès prioritaire aux services d’urgence et des audits de sécurité de leur domicile. Un dispositif d’alerte et de protection a ensuite été lancé au printemps 2026 : il a enregistré 724 inscrits et contribué à 200 interpellations, selon CryptoTimes.

En juillet 2026, le ministre de l’Intérieur Laurent Nuñez a présenté, lors d’un sommet organisé avec l’ADAN (l’Association pour le développement des actifs numériques), une stratégie plus ambitieuse articulée autour de trois piliers : un partage renforcé du renseignement sur les réseaux criminels, un réseau d’experts reliant l’industrie et les autorités, et une meilleure coordination internationale pour viser les commanditaires opérant depuis l’étranger. « Ce sont des sujets sérieux, et votre inquiétude est légitime », a déclaré le ministre devant les professionnels réunis, une reconnaissance publique de l’ampleur du problème. La réponse pénale suit : mises en examen en série, détentions provisoires et qualifications lourdes (enlèvement en bande organisée, torture, extorsion avec arme).

L’industrie ne s’en remet pas qu’à l’État. L’ADAN et plusieurs sociétés du secteur ont mis en place des formations à la sûreté, des protocoles de déplacement discrets et le recours à des agents de sécurité privés pour les dirigeants les plus exposés. En creux, un débat s’installe : faut-il encourager les détenteurs à rester anonymes, quitte à heurter la transparence que le secteur revendique par ailleurs ? La réponse tient sans doute dans un équilibre, entre la fierté d’afficher sa réussite et la prudence élémentaire de ne pas devenir une cible.

L’autre front : se faire embaucher pour voler de l’intérieur

Pendant que la violence physique fait la une, un second mode opératoire, invisible et patient, capte des sommes bien plus élevées : l’infiltration par de faux employés. La logique est la même que pour la clé de 12, mais retournée. Plutôt que de contraindre un détenteur de l’extérieur, on obtient un accès légitime de l’intérieur, en se faisant recruter. Chainalysis note explicitement que la Corée du Nord privilégie désormais ce canal, en plaçant des informaticiens au sein même des services crypto et en usurpant l’identité de dirigeants pour obtenir des accès.

Le résultat est spectaculaire. Les acteurs liés à Pyongyang ont dérobé environ 1,75 milliard d’euros (2,02 milliards de dollars) en 2025, un record en hausse de 51 % sur un an, représentant à eux seuls 59 % de la valeur volée dans le monde, pour un cumul avoisinant 5,9 milliards d’euros (6,75 milliards de dollars) depuis 2022. Autrement dit, moins d’incidents mais des prises plus grosses, obtenues par la ruse plutôt que par la force brute. Le vol de Bybit, attribué par le FBI à la Corée du Nord, en reste l’exemple le plus cher, et illustre à lui seul pourquoi les compromissions de clés côté services pèsent si lourd dans les statistiques.

Les sociétés crypto sont des proies de choix pour cette infiltration. Beaucoup recrutent à distance, à l’échelle mondiale, dans l’urgence de la croissance, et une partie de leur culture valorise le pseudonymat, ce qui complique la vérification d’identité. Un développeur talentueux qui refuse d’allumer sa caméra ou qui facture via une structure opaque n’y détonne pas toujours. C’est exactement l’angle mort qu’exploitent les faux candidats, en misant sur la tolérance du milieu pour les profils atypiques.

Fermes d’ordinateurs : l’affaire Christina Chapman

Comment un salarié situé à Pyongyang passe-t-il pour un développeur basé aux États-Unis ? Par un rouage logistique appelé « ferme d’ordinateurs ». Une personne installée dans le pays cible héberge chez elle les portables fournis par les entreprises, y installe des outils d’accès à distance, et laisse les véritables opérateurs s’y connecter depuis l’étranger. Pour l’employeur, tout semble normal : l’ordinateur se trouve bien sur le territoire, la fiche de paie part à une adresse locale.

L’affaire Christina Chapman a mis ce mécanisme en pleine lumière. Cette habitante de l’Arizona a été condamnée à 102 mois de prison (soit huit ans et demi) pour avoir aidé des informaticiens nord-coréens à se faire embaucher dans plus de 300 entreprises américaines, générant plus de 14,8 millions d’euros (17 millions de dollars) de revenus illicites ; plus de 90 ordinateurs ont été saisis à son domicile, et elle en avait réexpédié plusieurs dizaines à l’étranger, y compris vers une ville chinoise frontalière de la Corée du Nord, selon le ministère américain de la Justice. Cette logistique nourrit directement le vol de crypto : lors d’une action coordonnée dans seize États en juin 2025, les autorités ont perquisitionné 21 fermes d’ordinateurs, saisi environ 137 portables et démantelé des infiltrations touchant plus d’une centaine d’entreprises ; dans un dossier, quatre ressortissants nord-coréens opérant depuis les Émirats avaient noyauté une société de recherche blockchain d’Atlanta et détourné plus de 780 000 euros (900 000 dollars) en modifiant le code source de smart contracts, avant de blanchir les fonds via Tornado Cash, comme l’a détaillé le DOJ.

L’affaire Chapman n’est pas un cas isolé mais la partie visible d’une filière : d’autres complices installés aux États-Unis ont depuis reconnu leur rôle dans des montages similaires, et les enquêteurs décrivent une véritable division du travail, avec des recruteurs, des faussaires de documents et des hébergeurs de matériel, chacun rémunéré pour sa brique. Tracer les fonds détournés relève alors des mêmes techniques de forensics on-chain que celles utilisées pour démasquer un rug pull DeFi.

L’ingénierie sociale, ce maillon qui cède sans violence

Entre la clé de 12 et l’infiltration longue durée, il existe un continuum de techniques qui obtiennent une signature sans jamais briser un secret. La plus rentable reste la fausse offre d’emploi. Le vol du pont Ronin en 2022, l’un des plus importants de l’histoire, a commencé par une proposition de poste alléchante envoyée à un ingénieur, assortie d’un document piégé : une fois ouvert, il a livré aux attaquants l’accès dont ils avaient besoin pour compromettre les validateurs. Le schéma se répète sous mille variantes : faux recruteurs, faux investisseurs, faux support technique, usurpation d’un dirigeant pour presser un collaborateur.

Sa forme la plus perverse est la signature à l’aveugle. Le détenteur croit valider une opération anodine, mais l’interface affiche une chose et fait signer l’autre : c’est le mécanisme qui a permis le vol de Bybit, où des signataires légitimes ont approuvé, sans le voir, une transaction détournant la logique de leur portefeuille froid. Nous avons décortiqué ce piège de la signature aveugle et l’ensemble des vecteurs numériques dans notre dossier sur le vrai risque crypto de 2026. Le point commun de toutes ces attaques : elles n’exigent aucune prouesse cryptographique, seulement une erreur de jugement humain.

L’intelligence artificielle abaisse encore le coût de ces tromperies. Les mêmes outils qui assistent les développeurs génèrent aussi de faux CV crédibles, des visages de synthèse pour un entretien vidéo et des messages sans faute dans toutes les langues. Charles Guillemet, directeur technique de Ledger, avertit que l’IA rend les attaques moins chères et plus rapides, y compris pour repérer des failles latentes dans du code réputé sûr, dans un entretien à CoinDesk. Le maillon humain n’est plus seulement fatigué ou distrait ; il fait désormais face à des leurres quasi indiscernables du réel.

Blanchiment : la course de vitesse après le vol

Voler la clé n’est que la première moitié du travail ; encore faut-il transformer un butin traçable en argent utilisable. C’est là qu’intervient le blanchiment, devenu une industrie à part entière. Le schéma classique enchaîne plusieurs étapes : fragmentation des fonds sur de multiples adresses, passage par des mélangeurs (mixers) qui brouillent la piste, sauts d’une blockchain à l’autre via des ponts, puis conversion progressive vers des actifs plus liquides. Dans le cas de Bybit, une part écrasante des ETH volés a été convertie en bitcoin en quelques jours seulement, avant même que la plupart des plateformes aient pu réagir.

La vitesse est l’arme décisive. Les acteurs étatiques déplacent les fonds en continu, sans se soucier des week-ends ni des fuseaux horaires, et exploitent la fenêtre étroite pendant laquelle les adresses ne sont pas encore signalées. Face à eux, la traçabilité publique de la blockchain reste une arme à double tranchant : chaque transaction est visible, mais suivre des milliers de sauts en temps réel exige des outils spécialisés, ceux-là mêmes que les enquêteurs et les sociétés d’analyse déploient pour geler les fonds sur les plateformes coopératives.

Les autorités ripostent surtout en s’attaquant à l’infrastructure. Le mélangeur Tornado Cash, cité dans quantité de blanchiments liés à la Corée du Nord, a fait l’objet d’un long feuilleton judiciaire entre sanctions et revirements, illustrant une partie de bras de fer inachevée. Les récupérations existent, souvent grâce à la coopération d’exchanges qui gèlent des dépôts identifiés, mais elles restent l’exception : une fois la clé compromise et les fonds dispersés, l’essentiel du butin échappe durablement à ses propriétaires. D’où l’importance de tout ce qui empêche le vol en amont.

Répartir le pouvoir de signer : la parade à la clé de 12

Contre la contrainte physique, la meilleure défense n’est pas un meilleur coffre, c’est l’incapacité de céder. Si aucune personne seule ne peut déplacer les fonds, la menace perd son objet, et le ravisseur le sait. Concrètement, cela passe par un portefeuille multisignature dont les signataires sont géographiquement séparés, complété par un délai obligatoire (timelock) avant toute sortie : même contraint, un individu ne peut ni réunir le quorum sur-le-champ ni contourner l’attente. La victime peut alors dire la vérité, à savoir qu’il lui est matériellement impossible de vider le portefeuille immédiatement.

Deux compléments réduisent encore le risque. D’abord le portefeuille leurre : grâce à une phrase de passe BIP39, un même appareil peut abriter un portefeuille visible, garni d’un montant modeste que l’on cède sous la menace, et un portefeuille caché, invisible sans la phrase supplémentaire. Ensuite, pour les patrimoines importants, la conservation par calcul multipartite (MPC) ou par un conservateur qualifié dilue le point de défaillance unique. Cette logique de coût est explicitement recherchée par les prestataires : « lorsqu’il en coûte 3 millions de dollars pour en voler 10, l’incitation à attaquer disparaît », résume Wade Wang, patron du service de conservation MPC Safeheron, cité par Cointelegraph. L’objectif n’est pas l’invulnérabilité, mais de rendre l’attaque plus chère que le butin.

Les cadres de référence du secteur, comme ceux publiés par la Security Alliance, précisent cette architecture : au moins trois signataires, un seuil supérieur à la moitié, jamais un schéma où toutes les clés sont requises, des appareils de marques différentes, une séparation géographique et au moins un signataire extérieur au cercle immédiat. S’y ajoute la vérification hors bande, par exemple un appel vidéo pour confirmer une transaction avant de la signer. Tout cela a un coût, en friction et en temps, mais c’est précisément cette lenteur assumée qui protège : une organisation qui ne peut pas bouger vite ne peut pas être forcée de bouger vite.

Discrétion et hygiène : ne pas devenir une cible

On n’attaque que ceux que l’on repère. La première ligne de défense est donc l’effacement : ne pas afficher ses gains, éviter de lier une identité publique à des adresses connues, et limiter les traces qui mènent un criminel jusqu’à une porte d’entrée. Le rappel le plus cru vient de Ledger lui-même : la fuite de 2020 a exposé les noms, numéros et adresses postales d’environ 270 000 clients, et cette base a immédiatement nourri des campagnes de phishing puis des menaces physiques, avec des courriers réclamant 700 à 1 000 dollars en bitcoin sous peine de représailles, comme l’a documenté Bitdefender. Une simple fuite marketing s’est muée en carte au trésor pour agresseurs.

Les bonnes pratiques convergent ensuite vers des gestes simples : sauvegarder sa phrase de récupération sur un support métal plutôt que dans une photo, une note ou un gestionnaire de mots de passe, activer une phrase de passe, et se faire livrer son portefeuille matériel en point relais plutôt qu’à son adresse, pour ne pas relier un achat à un domicile. S’y ajoutent l’usage d’appareils dédiés, les demandes de suppression auprès des courtiers en données, la prudence sur les réseaux sociaux et la méfiance envers toute sollicitation non demandée, aussi flatteuse soit-elle. La règle d’or tient en une phrase : plus personne ne doit pouvoir relier, en quelques clics, un nom, un patrimoine estimé et une adresse.

Verrouiller le recrutement contre l’infiltration

Pour une entreprise, la parade change de nature : il faut empêcher l’attaquant de franchir la porte comme salarié. Cela commence par une vérification d’identité sérieuse des candidats à distance, au-delà d’un simple appel vidéo, et par la traque des signaux faibles (adresses de livraison de matériel incohérentes, horaires impossibles, réticence à activer la caméra, comptes de paiement changeants). Plusieurs plateformes ont raconté avoir démasqué de faux postulants en plein entretien technique, en posant des questions déstabilisantes sur leur propre pays.

À l’intérieur, la discipline opérationnelle limite les dégâts si un imposteur passe malgré tout. Principe du moindre privilège, séparation des tâches, revue de code obligatoire par un pair, interdiction pour un développeur isolé de pousser du code sensible en production, et surveillance des accès aux dépôts et aux clés. Les autorités américaines ont d’ailleurs diffusé des recommandations aux employeurs, après avoir constaté que la plupart des victimes n’avaient rien remarqué avant l’incident. La leçon des fermes d’ordinateurs est limpide : un accès légitime mais malveillant contourne la plupart des défenses périmétriques, et seule une architecture qui ne fait confiance à personne par défaut y résiste.

Le paradoxe réglementaire : MiCA, l’AMF et le retour aux custodians

Le droit européen a une réponse pour la partie « services » du problème. Sous MiCA, la conservation se définit comme la garde ou le contrôle des moyens d’accès aux clés cryptographiques privées ; le prestataire (CASP) supporte la charge de la preuve, doit ségréguer les avoirs des clients et engage sa responsabilité, tandis que le règlement DORA lui impose une résilience opérationnelle éprouvée. En France, l’Autorité des marchés financiers (AMF) considère de longue date la conservation de clés pour compte de tiers comme un service enregistrable, et la période transitoire des anciens PSAN s’est achevée le 1er juillet 2026, comme le rappelle l’AMF. C’est l’une des échéances qui rythment l’année 2026.

Reste un paradoxe que la peur alimente. L’auto-conservation, elle, échappe à MiCA : aucun régulateur ne viendra rembourser une victime de la clé de 12. Or la violence physique pousse justement une partie des détenteurs à revenir vers des conservateurs régulés, jugés plus rassurants qu’un portefeuille froid caché chez soi. Emma Shi, responsable des ventes institutionnelles chez HashKey, constate que l’anxiété des particuliers fortunés se traduit par des flux vers ces acteurs, d’après Cointelegraph. Mais confier ses clés à un tiers, c’est réintroduire précisément le risque qui a coûté 1,3 milliard d’euros à Bybit : la compromission de clés côté service. Il n’existe pas de solution sans contrepartie, seulement des arbitrages entre un risque physique que l’on porte seul et un risque de contrepartie que l’on délègue.

Que peut faire, concrètement, une victime ? Si ses fonds étaient confiés à un prestataire régulé, elle dispose d’un recours : responsabilité du conservateur, obligation de ségrégation, parfois assurance. En auto-conservation, elle n’a que la police et la chaîne : porter plainte, faire signaler les adresses aux plateformes, espérer un gel. Quelques assureurs spécialisés proposent désormais des couvertures contre le vol, y compris sous contrainte, mais les montants et les conditions restent dissuasifs pour le particulier. Le vrai filet de sécurité, en 2026, demeure la prévention.

Questions fréquentes

Qu’est-ce qu’une attaque à la clé de 12 (wrench attack) ?

C’est une attaque qui vise la personne plutôt que la technologie : au lieu de casser un chiffrement, l’agresseur contraint physiquement le détenteur (menace, séquestration, violence) à révéler sa phrase de récupération ou à signer une transaction. Le terme vient d’une bande dessinée de 2014 illustrant qu’une simple clé à cinq dollars suffit là où le calcul échoue. Au premier semestre 2026, CertiK a vérifié 52 attaques de ce type dans le monde.

Pourquoi la France est-elle autant visée par les enlèvements liés à la crypto ?

La France concentre près des deux tiers des attaques physiques vérifiées au premier semestre 2026 et a recensé 77 affaires nationales sur la même période. Plusieurs facteurs se cumulent : une adoption élevée, des détenteurs identifiables et médiatisés, des fuites de données personnelles qui circulent dans les réseaux criminels, et une coordination transfrontalière des bandes. La visibilité de certaines fortunes, parfois lisible sur la blockchain, transforme des personnes en cibles repérables.

Un portefeuille matériel protège-t-il d’une attaque physique ?

Un portefeuille matériel protège la clé contre le vol à distance et les logiciels malveillants, mais pas contre la contrainte : sous la menace, la victime peut être forcée de saisir son code et de signer. La vraie protection consiste à rendre la reddition impossible, par exemple avec une multisignature dont les signataires sont dispersés et un délai obligatoire, complétés par un portefeuille leurre activé par une phrase de passe.

Comment se protéger d’une attaque à la clé de 12 ?

La discrétion d’abord : ne pas afficher ses avoirs, ne pas relier son identité publique à ses adresses, limiter les traces menant à son domicile. Ensuite, répartir le pouvoir de signer pour qu’aucune personne seule ne puisse déplacer les fonds sur-le-champ, prévoir un portefeuille leurre au montant modeste, et pour les gros patrimoines envisager une conservation MPC ou un conservateur qualifié. L’objectif est de rendre l’attaque plus coûteuse que le gain espéré.

Comment les faux employés nord-coréens volent-ils les clés ?

Ils se font embaucher à distance sous une fausse identité, souvent via une ferme d’ordinateurs qui fait croire qu’ils travaillent depuis le pays de l’entreprise. Une fois en poste, leur accès légitime leur permet de modifier du code, de détourner des fonds ou d’exfiltrer des clés, puis de blanchir le produit via des mélangeurs. En 2025, les acteurs liés à la Corée du Nord ont dérobé environ 2 milliards de dollars, dont une part croissante grâce à cette infiltration interne.

Par Julien Marchand, journaliste sécurité et enquêtes chez HOGE Wire.